Уязвимость по подделке запроса на серверную сторону (SSRF) существует в компоненте RequestsToolkit пакета langchain-community (в частности,…

Уязвимость по подделке запроса на серверную сторону (SSRF) существует в компоненте RequestsToolkit пакета langchain-community (в частности, langchain_community.agent_toolkits.opena.toolkit.RequestsToolkit) в версии langchain-ai/langchain 0.0.27. Эта уязвимость возникает потому, что инструментарий не обеспечивает соблюдение ограничений на запросы удаленных интернет-адресов, что позволяет ему также получать доступ к локтем. В результате злоумышленник может использовать этот недостаток для выполнения сканирования портов, доступа к локальным услугам, получения метаданных экземпляров из облачных сред (например, Azure, AWS) и взаимодействия с серверами в локальной сети. Эта проблема исправлена в версии 0.0.28.